Среднее время от проникновения первого дроппера до запуска шифровальщика в корпоративной сети сократилось до 4-12 часов, что делает классическое сигнатурное сканирование бесполезным. Эффективность защиты теперь измеряется способностью ПО разорвать цепочку атаки на этапе доставки или исполнения кода, а не попыткой остановить уже запущенный процесс шифрования.
Анатомия Multi-stage атак и точки разрыва
Современный криптовирус редко доставляется одним файлом. Типичная цепочка: фишинговое письмо → LNK-файл или макрос → загрузчик (downloader) → стаджер → финальный payload. Если антивирус видит только финальный EXE, он пропускает 90% подготовки атаки. Критически важно наличие технический реестр критериев оценки эффективности модулей защиты от атак через макросы Office и PDF-документы, так как именно здесь происходит первый разрыв цепи.
Кейс: атака через ISO-образ. Пользователь открывает смонтированный диск, запускает .lnk, который вызывает PowerShell для загрузки вредоноса из сети. Обычный антивирус пропустит ISO и LNK, сработает только на этапе исполнения скрипта. Экспертный вывод: выбирайте решения с глубоким анализом цепочек процессов (Process Tree Analysis), которые блокируют запуск командной строки из недоверенных источников.
Борьба с Living-off-the-Land (LotL) техниками
До 60% современных атак используют легитимные инструменты ОС (powershell.exe, certutil.exe, wmic.exe) для обхода защиты. Это называется LotL. В таких сценариях нет «вредоносного файла» до самого конца, есть вредоносное использование системных утилит. Эффективный антивирус должен иметь модуль поведенческого анализа, который видит аномалию: например, когда Word запускает powershell.exe для скачивания файла из внешнего IP.
Пример: использование certutil.exe для декодирования Base64-полезной нагрузки. Если ПО не отслеживает аргументы командной строки, атака пройдет незамеченной. Экспертный вывод: необходим функционал AMSI (Antimalware Scan Interface) и интеграция с EDR-модулями, которые анализируют контекст вызова системных функций.
Эффективность эвристики против полиморфных дропперов
Дропперы меняют хеш-сумму при каждой итерации, что делает базы сигнатур бесполезными (время обновления базы — от 1 до 6 часов, время жизни новой версии дроппера — минуты). Здесь вступает в силу антивирусная защита от шифровальщиков: комплексный гид по выбору ПО на основе анализа поведенческого анализа и эвристического детектирования. Эвристика должна оценивать не «кто этот файл», а «что он пытается сделать» в первые 10-30 секунд работы.
Сравнение: базовый антивирус (цена $20-40/год) и продвинутый EPP-решение ($50-120/узел/год). Разница в том, что второй блокирует файл по признаку «попытка инъекции кода в explorer.exe», даже если файл создан секунду назад. Экспертный вывод: для бизнеса недопустимо использование только сигнатурных сканеров; обязателен поведенческий анализ в реальном времени.
Контроль записи и защита критических зон
Когда цепочка заражения дошла до финала, единственным рубежом остается антивирусная защита от шифровальщиков: сравнительная матрица эффективности функций контроля записи и защиты критических системных папок. Блокировка записи в системные директории и папки пользователей без цифровой подписи доверенного вендора снижает вероятность успешного шифрования на 70-80%, даже если вирус запущен с правами администратора.
Мини-кейс: шифровальщик пытается создать теневые копии диска через vssadmin.exe для их удаления. Защищенная система блокирует этот вызов, сохраняя возможность восстановления данных без выкупа. Экспертный вывод: функция «защиты папок» (Controlled Folder Access) должна быть включена по умолчанию для всех пользовательских документов и бэкапов.
Вывод
Для защиты от многоэтапных атак бесполезно покупать «просто известный бренд». Нужно выбирать ПО, которое работает по принципу Zero Trust к системным утилитам и умеет анализировать цепочки процессов. Мой вердикт: для малого бизнеса — решения с интегрированным поведенческим анализом и жестким контролем записи; для среднего и крупного — полноценный EDR (Endpoint Detection and Response). Избегайте софта, который позиционирует себя только как «сканер» или «защитник от вирусов» без упоминания анализа поведения и защиты от LotL-атак.
Связанный обзор по теме — выбрать антивирус для компьютера: лучшие.